Capitolul iii - DREPTURILE PERSOANEI VIZATE - Regulamentul 1725/23-oct-2018 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal de către instituţiile, organele, oficiile şi agenţiile Uniunii şi privind libera circulaţie a acestor date şi de abrogare a Regulamentului (Ce) nr. 45/2001 şi a Deciziei nr. 1247/2002/CE
Acte UE
Jurnalul Oficial 295L
În vigoare Versiune de la: 21 Noiembrie 2018
CAPITOLUL III:DREPTURILE PERSOANEI VIZATE
Art. 14: Transparenţa informaţiilor, a comunicărilor şi a modalităţilor de exercitare a drepturilor persoanei vizate
(1)Operatorul ia măsuri adecvate pentru a furniza persoanei vizate orice informaţii menţionate la articolele 15 şi 16 şi pentru a efectua orice comunicări în temeiul articolelor 17-24 şi 35 referitoare la prelucrare, într-o formă concisă, transparentă, inteligibilă şi uşor accesibilă, utilizând un limbaj clar şi simplu, în special pentru orice informaţii adresate în mod specific unui copil. Informaţiile se furnizează în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic. La solicitarea persoanei vizate, informaţiile pot fi furnizate verbal, cu condiţia ca identitatea persoanei vizate să fie dovedită prin alte mijloace.
(2)Operatorul facilitează exercitarea drepturilor persoanei vizate prevăzute la articolele 17-24. În cazurile menţionate la articolul 12 alineatul (2), operatorul nu refuză să dea curs cererii persoanei vizate de a-şi exercita drepturile prevăzute la articolele 17-24, cu excepţia cazului în care operatorul demonstrează că nu este în măsură să identifice persoana vizată.
(3)Operatorul furnizează persoanei vizate informaţii privind acţiunile întreprinse în urma unei cereri în temeiul articolelor 17-24, fără întârzieri nejustificate şi, în orice caz, în cel mult o lună de la primirea cererii. Această perioadă poate fi prelungită cu două luni atunci când este necesar, ţinându-se seama de complexitatea şi numărul cererilor. Operatorul informează persoana vizată cu privire la orice astfel de prelungire, în termen de o lună de la primirea cererii, prezentând şi motivele întârzierii. În cazul în care persoana vizată introduce o cerere în format electronic, informaţiile sunt furnizate în format electronic acolo unde este posibil, cu excepţia cazului în care persoana vizată solicită un alt format.
(4)Dacă nu ia măsuri cu privire la cererea persoanei vizate, operatorul informează persoana vizată, fără întârziere şi în termen de cel mult o lună de la primirea cererii, cu privire la motivele pentru care nu ia măsuri şi la posibilitatea de a depune o plângere la Autoritatea Europeană pentru protecţia Datelor şi de a introduce o cale de atac judiciară.
(5)Informaţiile furnizate în temeiul articolelor 15 şi 16, orice comunicare şi orice măsuri luate în temeiul articolelor 1724 şi 35 sunt gratuite. În cazul în care cererile din partea unei persoane vizate sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul poate refuza să dea curs cererii. Operatorului îi revine sarcina de a demonstra caracterul vădit nefondat sau excesiv al cererii.
(6)Fără a aduce atingere articolului 12, în cazul în care are îndoieli întemeiate cu privire la identitatea persoanei fizice care înaintează cererea menţionată la articolele 17-23, operatorul poate solicita furnizarea de informaţii suplimentare necesare pentru a confirma identitatea persoanei vizate.
(7)Informaţiile care urmează să fie furnizate persoanelor vizate în temeiul articolelor 15 şi 16 pot fi furnizate în combinaţie cu pictograme standardizate pentru a oferi într-un mod uşor vizibil, inteligibil şi clar lizibil o imagine de ansamblu semnificativă asupra prelucrării avute în vedere. În cazul în care pictogramele sunt prezentate în format electronic, acestea trebuie să poată fi citite automat.
(8)În cazul în care Comisia adoptă acte delegate în temeiul articolului 12 alineatul (8) din Regulamentul (UE) 2016/679 în vederea stabilirii informaţiilor care trebuie să fie prezentate de pictograme şi a procedurilor pentru furnizarea de pictograme standardizate, instituţiile şi organele Uniunii, acolo unde este cazul, pun la dispoziţie informaţiile furnizate în temeiul articolelor 15 şi 16 din prezentul regulament în combinaţie cu aceste pictograme standardizate.
Art. 15: Informaţii care se furnizează în cazul în care date cu caracter personal sunt colectate de la persoana vizată
(1)În cazul în care date cu caracter personal referitoare la o persoană vizată se colectează de la aceasta, operatorul, în momentul obţinerii acestor date cu caracter personal, furnizează persoanei vizate toate informaţiile următoare:
a)identitatea şi datele de contact ale operatorului;
b)datele de contact ale responsabilului cu protecţia datelor;
c)scopurile în care sunt prelucrate datele cu caracter personal, precum şi temeiul juridic al prelucrării;
d)destinatarii sau categoriile de destinatari ai datelor cu caracter personal, după caz;
e)dacă este cazul, intenţia operatorului de a transfera date cu caracter personal către o ţară terţă sau o organizaţie internaţională şi existenţa sau absenţa unei decizii a Comisiei privind caracterul adecvat al nivelului de protecţie sau, în cazul transferurilor menţionate la articolul 48, o trimitere la garanţiile adecvate sau corespunzătoare şi mijloacele de a obţine o copie a acestora, în cazul în care au fost puse la dispoziţie.
(2)În plus faţă de informaţiile menţionate la alineatul (1), în momentul în care datele cu caracter personal sunt obţinute, operatorul furnizează persoanei vizate următoarele informaţii suplimentare necesare pentru a asigura o prelucrare echitabilă şi transparentă:
a)perioada pentru care vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;
b)existenţa dreptului de a solicita operatorului, în ceea ce priveşte datele cu caracter personal referitoare la persoana vizată, accesul la acestea, rectificarea sau ştergerea acestora sau restricţionarea prelucrării sau, după caz, a dreptului de a se opune prelucrării, precum şi a dreptului la portabilitatea datelor;
c)atunci când prelucrarea se bazează pe articolul 5 alineatul (1) litera (d) sau pe articolul 10 alineatul (2) litera (a), existenţa dreptului de a retrage consimţământul în orice moment, fără a afecta legalitatea prelucrării efectuate pe baza consimţământului înainte de retragerea acestuia;
d)dreptul de a depune o plângere la Autoritatea Europeană pentru Protecţia Datelor;
e)dacă furnizarea de date cu caracter personal reprezintă o obligaţie legală sau contractuală sau o obligaţie necesară pentru încheierea unui contract, precum şi dacă persoana vizată este obligată să furnizeze aceste date cu caracter personal şi care sunt eventualele consecinţe ale nerespectării acestei obligaţii;
f)existenţa unui proces decizional automatizat incluzând crearea de profiluri, menţionat la articolul 24 alineatele (1) şi (4), precum şi, cel puţin în cazurile respective, informaţii pertinente privind logica utilizată şi privind importanţa şi consecinţele preconizate ale unei astfel de prelucrări pentru persoana vizată.
(3)În cazul în care operatorul intenţionează să prelucreze ulterior datele cu caracter personal într-un alt scop decât cel pentru care acestea au fost colectate, operatorul furnizează persoanei vizate, înainte de această prelucrare ulterioară, informaţii privind scopul secundar respectiv şi orice informaţii suplimentare relevante, în conformitate cu alineatul (2).
(4)Alineatele (1), (2) şi (3) nu se aplică dacă şi în măsura în care persoana vizată deţine deja informaţiile respective.
Art. 16: Informaţii care se furnizează în cazul în care datele cu caracter personal nu au fost obţinute de la persoana vizată
(1)În cazul în care datele cu caracter personal nu au fost obţinute de la persoana vizată, operatorul furnizează persoanei vizate următoarele informaţii:
a)identitatea şi datele de contact ale operatorului;
b)datele de contact ale responsabilului cu protecţia datelor;
c)scopurile în care sunt prelucrate datele cu caracter personal, precum şi temeiul juridic al prelucrării;
d)categoriile de date cu caracter personal vizate;
e)destinatarii sau categoriile de destinatari ai datelor cu caracter personal, după caz;
f)dacă este cazul, intenţia operatorului de a transfera date cu caracter personal către un destinatar dintr-o ţară terţă sau o organizaţie internaţională şi existenţa sau absenţa unei decizii a Comisiei privind caracterul adecvat al nivelului de protecţie sau, în cazul transferurilor menţionate la articolul 48, o trimitere la garanţiile adecvate sau corespunzătoare şi mijloacele de a obţine o copie a acestora sau locul în care acestea au fost puse la dispoziţie.
(2)Pe lângă informaţiile menţionate la alineatul (1), operatorul furnizează persoanei vizate următoarele informaţii suplimentare necesare pentru a asigura o prelucrare echitabilă şi transparentă în ceea ce priveşte persoana vizată:
a)perioada pentru care vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;
b)existenţa dreptului de a solicita operatorului, în ceea ce priveşte datele cu caracter personal referitoare la persoana vizată, accesul la acestea, rectificarea sau ştergerea acestora sau restricţionarea prelucrării sau, după caz, a dreptului de a se opune prelucrării, precum şi a dreptului la portabilitatea datelor;
c)atunci când prelucrarea se bazează pe articolul 5 alineatul (1) litera (d) sau pe articolul 10 alineatul (2) litera (a), existenţa dreptului de a retrage consimţământul în orice moment, fără a afecta legalitatea prelucrării efectuate pe baza consimţământului înainte de retragerea acestuia;
d)dreptul de a depune o plângere la Autoritatea Europeană pentru Protecţia Datelor;
e)sursa din care provin datele cu caracter personal şi, dacă este cazul, dacă acestea provin din surse disponibile public;
f)existenţa unui proces decizional automatizat incluzând crearea de profiluri, menţionat la articolul 24 alineatele (1) şi (4), precum şi, cel puţin în cazurile respective, informaţii pertinente privind logica utilizată şi privind importanţa şi consecinţele preconizate ale unei astfel de prelucrări pentru persoana vizată.
(3)Operatorul furnizează informaţiile menţionate la alineatele (1) şi (2):
a)într-un termen rezonabil după obţinerea datelor cu caracter personal, dar nu mai mare de o lună, ţinându-se seama de circumstanţele specifice în care sunt prelucrate datele cu caracter personal;
b)dacă datele cu caracter personal urmează să fie utilizate pentru comunicarea cu persoana vizată, cel târziu în momentul primei comunicări către persoana vizată respectivă; sau
c)dacă se intenţionează divulgarea datelor cu caracter personal către un alt destinatar, cel mai târziu la data la care acestea sunt divulgate pentru prima oară.
(4)În cazul în care operatorul intenţionează să prelucreze ulterior datele cu caracter personal într-un alt scop decât cel pentru care acestea au fost obţinute, operatorul furnizează persoanei vizate, înainte de această prelucrare ulterioară, informaţii privind scopul secundar respectiv şi orice informaţii suplimentare relevante, în conformitate cu alineatul (2).
(5)Alineatele (1)-(4) nu se aplică dacă şi în măsura în care:
a)persoana vizată deţine deja informaţiile;
b)furnizarea acestor informaţii se dovedeşte a fi imposibilă sau ar implica eforturi disproporţionate, în special în cazul prelucrării în scopuri de arhivare în interes public, în scopuri de cercetare ştiinţifică sau istorică ori în scopuri statistice sau în măsura în care obligaţia menţionată la alineatul (1) din prezentul articol este susceptibilă să facă imposibilă sau să afecteze în mod grav realizarea obiectivelor prelucrării respective;
c)obţinerea sau divulgarea datelor este prevăzută în mod expres de dreptul Uniunii, care prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate; sau
d)în cazul în care datele cu caracter personal trebuie să rămână confidenţiale în temeiul unei obligaţii de secret profesional reglementate de dreptul Uniunii, inclusiv al unei obligaţii legale de a păstra secretul.
(6)În cazurile menţionate la alineatul (5) litera (b), operatorul ia măsuri adecvate pentru a proteja drepturile, libertăţile şi interesele legitime ale persoanei vizate, inclusiv punerea informaţiilor la dispoziţia publicului.
Art. 17: Dreptul de acces al persoanei vizate
(1)Persoana vizată are dreptul de a obţine din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc şi, în caz afirmativ, acces la datele respective şi la următoarele informaţii:
a)scopurile prelucrării;
b)categoriile de date cu caracter personal vizate;
c)destinatarii sau categoriile de destinatari cărora datele cu caracter personal le-au fost sau urmează să le fie divulgate, în special destinatari din ţări terţe sau organizaţii internaţionale;
d)acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;
e)existenţa dreptului de a solicita operatorului rectificarea sau ştergerea datelor cu caracter personal ori restricţionarea prelucrării datelor cu caracter personal referitoare la persoana vizată sau a dreptului de a se opune prelucrării;
f)dreptul de a depune o plângere la Autoritatea Europeană pentru Protecţia Datelor;
g)în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, orice informaţii disponibile privind sursa acestora;
h)existenţa unui proces decizional automatizat incluzând crearea de profiluri, menţionat la articolul 24 alineatele (1) şi (4), precum şi, cel puţin în cazurile respective, informaţii pertinente privind logica utilizată şi privind importanţa şi consecinţele preconizate ale unei astfel de prelucrări pentru persoana vizată.
(2)În cazul în care datele cu caracter personal sunt transferate către o ţară terţă sau o organizaţie internaţională, persoana vizată are dreptul să fie informată cu privire la garanţiile adecvate în temeiul articolului 48 referitoare la transfer.
(3)Operatorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării. În cazul în care persoana vizată introduce cererea în format electronic şi cu excepţia cazului în care persoana vizată solicită un alt format, informaţiile sunt furnizate într-un format electronic utilizat în mod curent.
(4)Dreptul de a obţine o copie menţionată la alineatul (3) nu aduce atingere drepturilor şi libertăţilor altora.
Art. 18: Dreptul la rectificare
Persoana vizată are dreptul de a obţine de la operator, fără întârzieri nejustificate, rectificarea datelor cu caracter personal inexacte care o privesc. Ţinându-se seama de scopurile în care au fost prelucrate datele, persoana vizată are dreptul de a obţine completarea datelor cu caracter personal care sunt incomplete, inclusiv prin furnizarea unei declaraţii suplimentare.
Art. 19: Dreptul la ştergerea datelor ("dreptul de a fi uitat")
(1)Persoana vizată are dreptul de a obţine din partea operatorului ştergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligaţia de a şterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre următoarele motive:
a)datele cu caracter personal nu mai sunt necesare pentru îndeplinirea scopurilor pentru care au fost colectate sau prelucrate;
b)persoana vizată îşi retrage consimţământul pe baza căruia are loc prelucrarea, în conformitate cu articolul 5 alineatul (1) litera (d) sau cu articolul 10 alineatul (2) litera (a), şi nu există niciun alt temei juridic pentru prelucrare;
c)persoana vizată se opune prelucrării în temeiul articolului 23 alineatul (1) şi nu există motive legitime care să prevaleze în ceea ce priveşte prelucrarea;
d)datele cu caracter personal au fost prelucrate ilegal;
e)datele cu caracter personal trebuie şterse pentru respectarea unei obligaţii legale care revine operatorului;
f)datele cu caracter personal au fost colectate în legătură cu oferirea de servicii ale societăţii informaţionale menţionate la articolul 8 alineatul (1).
(2)În cazul în care operatorul a făcut publice datele cu caracter personal şi este obligat, în temeiul alineatului (1), să le şteargă, operatorul, ţinând seama de tehnologia disponibilă şi de costul implementării, ia măsuri rezonabile, inclusiv măsuri tehnice, pentru a informa operatorii sau operatorii, alţii decât instituţii şi organe ale Uniunii care prelucrează datele cu caracter personal că persoana vizată a solicitat ştergerea de către aceşti operatori, a oricăror linkuri către datele respective sau a oricăror copii sau reproduceri ale acestor date cu caracter personal.
(3)Alineatele (1) şi (2) nu se aplică în măsura în care prelucrarea este necesară:
a)pentru exercitarea dreptului la liberă exprimare şi la informare;
b)pentru respectarea unei obligaţii legale care revine operatorului sau pentru îndeplinirea unei sarcini executate în interes public sau în cadrul exercitării unei autorităţi oficiale cu care este învestit operatorul;
c)din motive de interes public în domeniul sănătăţii publice, în conformitate cu articolul 10 alineatul (2) literele (h) şi (i) şi cu articolul 10 alineatul (3);
d)în scopuri de arhivare în interes public, în scopuri de cercetare ştiinţifică sau istorică ori în scopuri statistice, în măsura în care dreptul menţionat la alineatul (1) ar putea să facă imposibilă sau să afecteze în mod grav realizarea obiectivelor prelucrării respective; sau
e)pentru constatarea, exercitarea sau apărarea unui drept în instanţă.
Art. 20: Dreptul la restricţionarea prelucrării
(1)Persoana vizată are dreptul de a obţine din partea operatorului restricţionarea prelucrării în următoarele cazuri:
a)persoana vizată contestă exactitatea datelor cu caracter personal, pentru o perioadă care îi permite operatorului să verifice exactitatea datelor cu caracter personal, inclusiv dacă acestea sunt complete;
b)prelucrarea este ilegală, iar persoana vizată se opune ştergerii datelor cu caracter personal şi solicită, în schimb, restricţionarea utilizării lor;
c)operatorul nu mai are nevoie de datele cu caracter personal în scopul prelucrării, dar persoana vizată i le solicită pentru constatarea, exercitarea sau apărarea unui drept în instanţă;
d)persoana vizată s-a opus prelucrării în conformitate cu articolul 23 alineatul (1), pentru intervalul de timp în care se verifică dacă drepturile legitime ale operatorului prevalează asupra celor ale persoanei vizate.
(2)În cazul în care prelucrarea a fost restricţionată în temeiul alineatului (1), astfel de date cu caracter personal pot, cu excepţia stocării, să fie prelucrate numai cu consimţământul persoanei vizate sau pentru constatarea, exercitarea sau apărarea unui drept în instanţă sau pentru protecţia drepturilor unei alte persoane fizice sau juridice sau din motive de interes public important al Uniunii sau al unui stat membru.
(3)O persoană vizată care a obţinut restricţionarea prelucrării în temeiul alineatului (1) este informată de către operator înainte de ridicarea restricţiei de prelucrare.
(4)În cazul sistemelor automatizate de evidenţă a datelor, restricţionarea prelucrării se asigură, în principiu, prin mijloace tehnice. Faptul că prelucrarea datelor cu caracter personal este restricţionată se indică în sistem în aşa fel încât să devină evident că acele date cu caracter personal nu pot fi utilizate.
Art. 21: Obligaţia de notificare privind rectificarea sau ştergerea datelor cu caracter personal sau restricţionarea prelucrării
Operatorul comunică fiecărui destinatar căruia i-au fost divulgate datele cu caracter personal orice rectificare sau ştergere a datelor cu caracter personal sau restricţionare a prelucrării efectuate în conformitate cu articolul 18, articolul 19 alineatul (1) şi articolul 20, cu excepţia cazului în care acest lucru se dovedeşte imposibil sau presupune eforturi disproporţionate. Operatorul informează persoana vizată cu privire la destinatarii respectivi dacă persoana vizată solicită acest lucru.
Art. 22: Dreptul la portabilitatea datelor
(1)Persoana vizată are dreptul de a primi datele cu caracter personal care o privesc şi pe care le-a furnizat operatorului într-un format structurat, utilizat în mod curent şi care poate fi citit automat şi are dreptul de a transmite aceste date altui operator, fără obstacole din partea operatorului căruia i-au fost furnizate datele cu caracter personal, în cazul în care:
a)prelucrarea se bazează pe consimţământ în temeiul articolului 5 alineatul (1) litera (d) sau al articolului 10 alineatul (2) litera (a) sau pe un contract în temeiul articolului 5 alineatul (1) litera (c); şi
b)prelucrarea este efectuată prin mijloace automate.
(2)În exercitarea dreptului său la portabilitatea datelor în temeiul alineatului (1), persoana vizată are dreptul ca datele cu caracter personal să fie transmise direct de la un operator la altul sau către operatori, alţii decât instituţii şi organe ale Uniunii, acolo unde acest lucru este fezabil din punct de vedere tehnic.
(3)Exercitarea dreptului menţionat la alineatul (1) din prezentul articol nu aduce atingere articolului 19. Respectivul drept nu se aplică prelucrării necesare pentru îndeplinirea unei sarcini executate în interes public sau în cadrul exercitării unei autorităţi oficiale cu care este învestit operatorul.
(4)Dreptul menţionat la alineatul (1) nu aduce atingere drepturilor şi libertăţilor altora.
Art. 23: Dreptul la opoziţie
(1)În orice moment, persoana vizată are dreptul să se opună, din motive legate de situaţia particulară în care se află, prelucrării în temeiul articolului 5 alineatul (1) litera (a), a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivei dispoziţii. Operatorul nu mai prelucrează datele cu caracter personal, cu excepţia cazului în care operatorul demonstrează că are motive legitime şi imperioase care justifică prelucrarea şi care prevalează asupra intereselor, drepturilor şi libertăţilor persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanţă.
(2)Cel târziu în momentul primei comunicări cu persoana vizată, dreptul menţionat la alineatul (1) este adus în mod explicit în atenţia persoanei vizate şi este prezentat în mod clar şi separat de orice alte informaţii.
(3)Fără a aduce atingere articolelor 36 şi 37, în contextul utilizării serviciilor societăţii informaţionale, persoana vizată îşi poate exercita dreptul de a se opune prin mijloace automatizate care folosesc specificaţii tehnice.
(4)În cazul în care datele cu caracter personal sunt prelucrate în scopuri de cercetare ştiinţifică sau istorică sau în scopuri statistice, persoana vizată, din motive legate de situaţia sa particulară, are dreptul de a se opune prelucrării datelor cu caracter personal care o privesc, cu excepţia cazului în care prelucrarea este necesară pentru îndeplinirea unei sarcini din motive de interes public.
Art. 24: Procesul decizional individual automatizat, inclusiv crearea de profiluri
(1)Persoana vizată are dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, inclusiv crearea de profiluri, care produce efecte juridice care privesc persoana vizată sau o afectează în mod similar într-o măsură semnificativă.
(2)Alineatul (1) nu se aplică în cazul în care decizia:
a)este necesară pentru încheierea sau executarea unui contract între persoana vizată şi operator;
b)este autorizată prin dreptul Uniunii care prevede, de asemenea, măsuri corespunzătoare pentru protejarea drepturilor, libertăţilor şi intereselor legitime ale persoanei vizate; sau
c)are la bază consimţământul explicit al persoanei vizate.
(3)În cazurile menţionate la alineatul (2) literele (a) şi (c), operatorul pune în aplicare măsuri corespunzătoare pentru protejarea drepturilor, libertăţilor şi intereselor legitime ale persoanei vizate, cel puţin dreptul acesteia de a obţine intervenţie umană din partea operatorului, de a-şi exprima punctul de vedere şi de a contesta decizia.
(4)Deciziile menţionate la alineatul (2) de la prezentul articol nu au la bază categoriile speciale de date cu caracter personal menţionate la articolul 10 alineatul (1), cu excepţia cazului în care se aplică articolul 10 alineatul (2) litera (a) sau (g) şi în care au fost instituite măsuri corespunzătoare pentru protejarea drepturilor, libertăţilor şi intereselor legitime ale persoanei vizate.
Art. 25: Restricţii
(1)Actele legislative adoptate în baza tratatelor sau, în chestiuni legate de funcţionarea instituţiilor şi organelor Uniunii, normele interne prevăzute de acestea din urmă pot restricţiona aplicarea articolelor 14-22, 35 şi 36, precum şi a articolului 4 în măsura în care dispoziţiile acestuia corespund drepturilor şi obligaţiilor prevăzute la articolele 14-22, atunci când o astfel de restricţie respectă esenţa drepturilor şi libertăţilor fundamentale şi constituie o măsură necesară şi proporţională într-o societate democratică, pentru a garanta:
a)securitatea naţională, securitatea publică sau apărarea statelor membre;
b)prevenirea, depistarea, investigarea şi urmărirea penală a infracţiunilor sau executarea sancţiunilor penale, inclusiv protejarea împotriva ameninţărilor la adresa securităţii publice şi prevenirea acestora;
c)alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele politicii externe şi de securitate comune ale Uniunii sau un interes economic sau financiar important al Uniunii sau al unui stat membru, inclusiv în domeniile monetar, bugetar şi fiscal şi în domeniul sănătăţii publice şi al securităţii sociale;
d)securitatea internă a instituţiilor şi organelor Uniunii, inclusiv a reţelelor lor de comunicaţii electronice;
e)protejarea independenţei judiciare şi a procedurilor judiciare;
f)prevenirea, depistarea, investigarea şi urmărirea penală a încălcării eticii în cazul profesiilor reglementate;
g)o funcţie de monitorizare, inspecţie sau reglementare legată, chiar şi ocazional, de exercitarea autorităţii oficiale în cazurile menţionate la literele (a)-(c);
h)protecţia persoanei vizate sau a drepturilor şi libertăţilor altora;
i)executarea hotărârilor pronunţate în acţiuni în pretenţii formulate în temeiul dreptului civil.
(2)În special, orice act juridic sau normă internă menţionată la alineatul (1) conţine dispoziţii specifice privind, dacă este cazul:
a)scopurile prelucrării sau ale categoriilor de prelucrare;
b)categoriile de date cu caracter personal;
c)domeniul de aplicare al restricţiilor introduse;
d)garanţiile pentru a preveni abuzurile sau accesul sau transferul ilegal;
e)specificaţiile operatorului sau ale categoriilor de operatori;
f)perioadele de stocare şi garanţiile aplicabile având în vedere caracterul, domeniul de aplicare şi scopurile prelucrării sau ale categoriilor de prelucrare; şi
g)riscurile pentru drepturile şi libertăţile persoanelor vizate.
(3)În cazul în care datele cu caracter personal sunt prelucrate în scopuri de cercetare ştiinţifică sau istorică ori în scopuri statistice, dreptul Uniunii, care poate include norme interne adoptate de instituţiile şi organele Uniunii în chestiuni referitoare la funcţionarea lor, poate să prevadă derogări de la drepturile menţionate la articolele 17, 18, 20 şi 23, sub rezerva condiţiilor şi a garanţiilor prevăzute la articolul 13, în măsura în care drepturile respective sunt de natură să facă imposibilă sau să afecteze în mod grav realizarea scopurilor specifice, iar derogările respective sunt necesare pentru îndeplinirea acestor scopuri.
(4)În cazul în care datele cu caracter personal sunt prelucrate în scopuri de arhivare de interes public, dreptul Uniunii, care poate include norme interne adoptate de instituţiile şi organele Uniunii în chestiuni referitoare la funcţionarea lor, poate să prevadă derogări de la drepturile menţionate la articolele 17, 18, 20, 21, 22 şi 23, sub rezerva condiţiilor şi a garanţiilor prevăzute la articolul 13, în măsura în care drepturile respective sunt de natură să facă imposibilă sau să afecteze în mod grav realizarea scopurilor specifice, iar derogările respective sunt necesare pentru îndeplinirea acestor scopuri.
(5)Normele interne menţionate la alineatele (1), (3) şi (4) sunt acte clare şi precise cu domeniu de aplicare general, menite să producă efecte juridice faţă de persoanele vizate, adoptate la cel mai înalt nivel de conducere din instituţiile şi organele Uniunii şi se publică în Jurnalul Oficial al Uniunii Europene.
(6)În cazul în care se impune o restricţie în temeiul alineatului (1), persoana vizată este informată, în conformitate cu dreptul Uniunii, cu privire la motivele principale care stau la baza aplicării restricţiei şi cu privire la dreptul său de a depune o plângere la Autoritatea Europeană pentru Protecţia Datelor.
(7)În cazul în care o restricţie impusă în temeiul alineatului (1) este invocată pentru a se refuza accesul persoanei vizate, Autoritatea Europeană pentru Protecţia Datelor, atunci când examinează plângerea, doar o va informa dacă datele au fost prelucrate în mod corect şi, dacă nu, dacă au fost efectuate corecţiile necesare.
(8)Furnizarea informaţiilor menţionate la alineatele (6) şi (7) de la prezentul articol şi la articolul 45 alineatul (2) poate fi amânată, omisă sau refuzată în cazul în care aceasta ar anula efectul restricţiei impuse în temeiul alineatului (1) de la prezentul articol.